Ces derniers mois, plusieurs cyberattaques ont visé des services de l'Éducation nationale. À plusieurs reprises, des données personnelles concernant des centaines de milliers d'agents ou d'élèves ont été dérobées.
Pour les enseignants, les questions suivantes se posent naturellement :
-
Quels sont les risques pour les enseignants dont les informations personnelles ont été compromises ?
-
Comment se protéger au quotidien ?
La bonne nouvelle est qu'une fuite de données ne signifie pas automatiquement qu'un compte sera piraté ou qu'un compte bancaire sera vidé. En revanche, elle peut faciliter des escroqueries très convaincantes.
Comprendre ces risques est le meilleur moyen de s'en protéger.
Quelles données peuvent être concernées ?
Selon les cas, les informations dérobées peuvent comprendre :
-
le nom et le prénom ;
-
la date de naissance ;
-
l'adresse postale ;
-
l'adresse électronique ;
-
le numéro de téléphone ;
-
le corps ou la fonction occupée ;
-
parfois le numéro de Sécurité sociale.
Toutes ces informations sont précieuses pour les cybercriminels, car elles permettent de réaliser des messages ou des appels très crédibles, ciblés sur les enseignants.
Le numéro de Sécurité sociale : pourquoi est-il une donnée sensible ?
Le numéro de Sécurité sociale (NIR) est une donnée d'identité unique.
Contrairement à une idée répandue, connaître ce numéro ne permet pas, à lui seul, d'accéder à votre compte Ameli, à vos remboursements de santé ou à votre compte bancaire.
En revanche, associé à votre identité, il permet de rendre des tentatives d'escroquerie beaucoup plus crédibles : un fraudeur peut se faire passer pour un organisme officiel, citer votre NIR et vous demander de "vérifier" ou "mettre à jour" vos informations.
Le numéro de Sécurité sociale ne peut d'ailleurs être modifié que dans des situations tout à fait exceptionnelles. Il est donc important d'en préserver la confidentialité.
L'ingénierie sociale : le danger le plus courant
Aujourd'hui, les pirates cherchent souvent moins à attaquer les ordinateurs qu'à manipuler les personnes. Cette technique porte un nom : l'ingénierie sociale.
Son principe est simple : convaincre la victime d'effectuer elle-même une action qui profitera au fraudeur.
Par exemple :
" Bonjour Madame Dupont. C'est Monsieur Martin, du service informatique du rectorat. Nous avons détecté plusieurs tentatives d'accès illégales à votre compte iProf. Nous allons vous envoyer un code afin de vérifier la sécurité de votre accès à votre compte administratif. Pouvez-vous me le communiquer ? "
Le pirate connaissant déjà votre identité, votre établissement ainsi que d'autres informations personnelles, son appel pourrait paraître crédible... Vous pourriez alors lui communiquer le code qui lui permettra de prendre le contrôle de votre compte.
Ce type de scénario peut aussi viser :
-
la messagerie académique ;
-
l'ENT ;
-
des applications de vie scolaire ou de notes.
Des courriels de plus en plus convaincants
Les courriels frauduleux ont beaucoup évolué. Autrefois, ils comportaient souvent des fautes d'orthographe ou des formulations maladroites. Aujourd'hui, grâce à l'intelligence artificielle, ils sont parfois pratiquement impossibles à distinguer d'un message authentique.
Un escroc peut écrire :
" Bonjour Madame Martin,
Une anomalie a été détectée sur votre compte iProf et son accès a probablement été compromis.
Merci de vous connecter rapidement afin de confirmer vos informations en cliquant sur le lien suivant :
Accès iProf "
Le message utilise votre véritable nom et peut même contenir certaines informations personnelles dérobées lors d'une fuite de données.
Le lien vous renverra vers un faux site Internet, copie presque parfaite du site officiel. Si vous y saisissez votre identifiant et votre mot de passe, le pirate les récupère.
Les autres risques possibles
Les données volées peuvent également être utilisées pour :
-
usurper une identité auprès de certains organismes ;
-
tenter d'ouvrir frauduleusement un contrat ou un compte ;
-
préparer des escroqueries ciblées par téléphone ;
-
envoyer des SMS ou des courriels très personnalisés ;
-
convaincre un proche ou un collègue qu'ils s'adressent à la bonne personne.
Les cybercriminels exploitent souvent plusieurs informations à la fois afin de gagner la confiance de leur victime.
Comment se protéger ?
Quelques réflexes permettent de réduire considérablement les risques.
1. Ne jamais agir dans l'urgence
Les fraudeurs cherchent presque toujours à créer un sentiment d'urgence.
« Votre compte va être suspendu. »
« Votre dossier est bloqué. »
« Vous devez agir immédiatement. »
Prenez toujours quelques minutes pour réfléchir avant d'agir. Un organisme sérieux vous laisse le temps de vérifier.
2. Ne jamais communiquer un code reçu par SMS
Aucun organisme sérieux ne vous demandera de communiquer un code de validation reçu par SMS ou généré par une application d'authentification.
Si quelqu'un vous le demande, il s'agit presque certainement d'une tentative d'escroquerie.
3. Ne pas cliquer sur les liens reçus
Si vous recevez un courriel ou un SMS semblant provenir de :
-
l'Éducation nationale ;
-
votre mutuelle ;
-
votre banque ;
-
l'Assurance maladie ;
-
les impôts ;
ouvrez vous-même votre navigateur et rendez-vous directement sur le site officiel, ou utilisez l'application officielle.
4. Activer l'authentification à deux facteurs
Lorsque cela est possible, activez la double authentification.
Même si votre mot de passe est découvert, cette protection supplémentaire empêche souvent une connexion frauduleuse.
5. Utiliser des mots de passe différents
Le même mot de passe ne devrait jamais être utilisé sur plusieurs sites.
Un gestionnaire de mots de passe permet de créer facilement un mot de passe unique pour chaque service, sans avoir à tous les mémoriser.
6. Surveiller ses comptes
Consultez régulièrement :
Une détection rapide permet souvent de limiter les conséquences d'une fraude.
7. Adopter de bonnes pratiques professionnelles
-
Évitez de stocker des données élèves sur des services personnels (cloud, messagerie privée).
-
Sauvegardez vos préparations de classe sur des supports sûrs.
-
Mettez à jour vos appareils (ordinateur, tablette, smartphone) pour corriger les failles de sécurité.
Que faire en cas de doute ou de cyberattaque ?
En cas de suspicion :
-
Arrêtez d’utiliser le compte ou l’appareil concerné.
-
Prévenez immédiatement votre direction, le référent numérique ou le service informatique académique.
-
Changez vos mots de passe les plus importants.
-
Conservez les preuves (captures d’écran, messages, courriels).
-
Si des données élèves semblent concernées, suivez la procédure de signalement de votre académie.
Faut-il s'inquiéter ?
Il n'y a pas lieu de céder à la panique.
Des millions de personnes dans le monde ont déjà été concernées par des fuites de données sans jamais subir de fraude. En revanche, il est essentiel d'être plus vigilant au cours des mois qui suivent une cyberattaque.
Les cybercriminels conservent souvent les données volées pendant plusieurs années avant de les exploiter ou de les revendre.
En conclusion
Les cyberattaques ne visent plus uniquement les grandes entreprises ou les administrations : elles concernent désormais chacun d'entre nous.
La meilleure protection reste la vigilance.
Face à un appel inattendu, un SMS alarmant ou un courriel demandant une action urgente, adoptez toujours les mêmes réflexes :
-
Ne faites confiance ni au message ni à son apparence.
-
Vérifiez systématiquement l'information en utilisant un canal indépendant.
-
Prenez quelques minutes pour réfléchir avant d'agir.
Quelques minutes de vérification suffisent souvent à éviter des conséquences beaucoup plus importantes.
